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PROCEDE DE STOCKAGE SECURISE D'UNE DONNEE SENSIBLE DANS UNE MEMOIRE D'UN SYSTEME 
EMBARQUE A PUCE ELECTRONIQUE, NOTAMMENT D'UNE CARTE A PUCE, ET SYSTEME EMBARQUE 
METTANT EN OEUVRE LE PROCEDE. 

L'invention concerne un procede d'enregistrement se- 
curise d'une donnee dite sensible, par exemple d'une cle de 
chiffracje, dans une memoire (M) d'un systeme embarque a 
puce electronique, notamment d'une carte a puce (CP). La 
memoire (M) comprend deux organes de stockage physi- 
quement distincts (1, 2), par exemple une memoire fixe de 
type " ROM " (1) et une memoire re-programmable de type 
H EEPROM " (2). La donnee sensible est scindee en au 
moins deux parties (d, d'), selon une configuration logique 
determinee, chacune de ces parties etant enregistree dans 
un des organes de memoire distinct (1,2). Une donnee sup- 
plemental de verification, somme de controle ou donnee 
de hachage, peut etre enregistree en supplement dans le 
premier organe de memoire (1 ), en meme temps que la pre- 
miere partie de donnee sensible (d). 

L'invention concerne egalement un systeme embarque 
a puce electronique, notamment une carte a puce (CP). 
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(-'invention concerne un procede d'enregistrement s6curise de 
donnees sensibles dans une memoire d'un systeme embarque a puce 
electronique. 

Elle s'applique plus particulierement a une carte a puce. 
L'invention concerne encore un systeme embarque pour la mise en 
oeuvre du proced6. 

Dans le cadre de V invention, le terme "systeme embarque" vise des 
systemes ou dispositifs divers ayant en commun le fait de disposer d'une 
puce electronique comprenant des moyens de memoire et de traitement de 
donnees, generalement constitues par un microprocesseur ou un 
microcontroleur. Un tel systeme embarque peut etre constitue notamment 
par une carte a puce. 

De meme, le terme "sensible" doit etre compris dans son sens le 
plus general. II concerne toutes sortes de donnees secretes ou pour le 
moins confidentielles, notamment des algorithmes de chiffrage, des cles 
secretes de chiffrage , des donnees ^identification ou des informations a 
caractere secret, etc., stockees dans une ou plusieurs types de memoires 
dont sont munies les cartes a puce. Ce type de donnees sera appele ci- 
apres "secret", de fa?on generique. 

Uinvention s'applique encore plus particulierement, mais non 
exclusivement, au stockage de cles secretes stockees en vu d'etre utilisees 
pour la pre-initialisation securisee de cartes a puce. II est en effet bien 
connu que des fonctions relatives a la securite sont devolues aux cartes a 
puce. La encore le terme securite doit etre entendu dans un sens large. Ce 
terme recouvre en effet divers concepts : confidentiality authentication, 
etc. 

Ci-apres, pour fixer les idees et sans que cela limite en quoi que ce 
soit sa portee, on se placera dans ce cas d'application preferee de 
I'invention, sauf mention contraire. 

De fa?on habituelle, dans I'art connu, les secrets contenus dans les 
cartes a puce sont stockes lineairement dans une meme zone de memoire. 
En particulier, les secrets sont stockes dans des memoires fixes a lecture 
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seule ("ROM", pour "Read-Only Memory") ou semi-fixes, c'est-a-dire re- 
programmable par effacement electrique a lecture seule, par exemple de 
type dit "EEPROM" ("Electrically Erasable Programmable Read-Only 
Memory"). Or, les memoires des puces electroniques sont la proie de 
fraudeurs et les attaques que Ton peut constater sont de plus en plus 
nombreuses et sophistiquees. 

En particulier. le "dumping" ("vidage" ou copie de la memoire) de la 
memoire "ROM" est un souci constant pour les cartes a puce. 

Les memoires de type "EEPROM", contenant traditionnellement des 
donnees dites sensibles, sont sujettes a la plupart des agressions connues a 
I'heure actuelle. 

L'invention vise a pallier les inconvenients des dispositifs de I'art 
connu, et dont certains viennent d'etre rappeles. 

L'invention se fixe pour but un procede de stockage securise de 
donnees sensibles dans la memoire d'une carte a puce, et de facon plus 
generale dans la memoire d'un systeme embarque a puce electronique. 

Elle concerne egalement un systeme embarque a puce electronique 
pour la mise en ceuvre de ce procede. La puce electronique comprend des 
moyens de memoire et de traitement de donnees, generalement sous la 
commande d'un systeme Sexploitation (ou "OS", pour "Operating System", 
selon la terminologie anglo-saxonne). 

Pour ce faire. selon une caracteristique avantageuse, le secret est 
"eclate" physiquement et logiquement dans plusieurs moyens de memoire 
dont est munie la puce electronique. 

Dans un mode de realisation avantageux, la memoire de ladite puce 
electronique est divisee en deux parties distinctes, la premiere etant 
constitute par une memoire de type "ROM", de facon plus generale une 
memoire fixe a lecture seule, la seconde partie etant constitute par une 
memoire de type "EEPROM", de facon plus generale une memoire semi-fixe 
re-programmable. 
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Selon une premiere variante du procede de I'invention, un meme 
secret est "eclate" entre deux parties de memoire ou plus, physiquement 
distinctes. 

En particulier, dans le domaine ^application prefere de 1'invention, 
le procede permet I'authentification d'une carte a puce en phase de pre- 
initialisation, lorsque la partie de memoire de type "EEPROM" est encore 
vierge de donnees, en dehors de celles programmees par une entite que 
Ton appellera ci-apres "fondeur". ' 

Dans le cadre de 1'invention, le terme "pre-initialisation" s'entend 
dans un sens general. II est notamment relatif a la phase de fabrication 
d'une carte a puce traditionnelle ou a la phase precedant la phase 
d'initialisation d'une carte a puce dite ouverte. 

Selon un mode de realisation avantageux encore, la majeure partie 
des donnees constituant le secret est stockee en memoire "ROM". Seule 
une faible partie de ces donnees est stockee en memoire "EEPROM". 

Selon cette caracteristique supplemental de invention, une c!6 
secrete est aiors contenue dans la partie de memoire de type "ROM", dans 
sa tres grande majorite. II suffit au fondeur d'ecrire une partie plus reduite de 
la cle secrete dans la partie de memoire de type "EEPROM" pour que le 
systeme d'exploitation precite puisse disposer de la cle secrete dans sa 
totalite. Du fait de son stockage particulier, ii est a noter que la cle secrete 
est envoyee en deux parties a deux services distincts chez le fondeur, ce qui 
permet de reduire les risques de fraude lors du transfert de secret. 

Ce stockage particulier permet done de minimiser le nombre 
d'betets programmes sous pointe par le fondeur et presente en consequence 
Tavantage de reduire les couts de fabrication. En effet, pour garantir un haut 
degre de securite, les cles actuellement utilisees sont de grande longueur. 
On peut done alleger le stockage de ces cles de grande longueur, 
habituellement effectue en "EEPROM", en en deportant la plus grande partie 
dans la "ROM". 

Selon une seconde variante de realisation, un premier secret est 
stocke dans une premiere partie de la memoire et un ou plusieurs autres 
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secrets, derive(s) du premier secret, directement ou indirectement, est(sont) 
stocke(s) dans au moins une autre partie de memoire physiquement 
distincte. Ce ou ces secret(s) supplementaire(s) peuvent etre obtenu(s) 
avantageusement par chiffrage. 

A titre d'exemple, dans un domaine duplication typique du procede 
selon I'invention, une cle de chiffrage (symetrique) est presente dans une 
premiere zone de memoire d'une carte a puce, de type "ROM", au moment 
du masquage de celle-ci. Une information confidentielle est stock6e dans 
une seconde zone de memoire, de type "EEPROM", lors de 1'utilisation de la 
carte a puce. Cette information est chiffree (par exemple a Taide de 
Talgorithme dit triple "DES") avec la cle de chiffrage precitee presente dans 
la zone "ROM". Cette methode presente un grand interet. En effet, en sus de 
la protection contre le "dumping" de la memoire, on constate que 
Tinformation est egalement protegee lorsqu'elle est ecrite dans la carte a 
puce. Meme Tentite qui "ecrit" la cle ne la connait pas. 

De ce qui precede, il s'ensuit que, quel que soit le mode de 
realisation, ou les variantes considerees de ces modes de realisation, une 
attaque frauduleuse reussie d'une des parties de la memoire ne peut 
conduire a la connaissance complete du secret. Dans la realite, et dans la 
mesure ou la repartition des elements du secret entre les parties distinctes 
de la memoire est realisee de fagon judicieuse, la connaissance partielle du 
secret acquise de fa^on frauduleuse ne permettra jamais de retrouver 
ulterieurement le secret, par exemple en tentant un decryptage a I'aide de 
traitements mathematiques appropries, ce qui permettrait de deduire le 
secret complet de la connaissance partielle precitee. Cette repartition 
judicieuse est, en soi, a la portee de Thomme de metier. On pourra done 
considerer que Tattaque a finalement echoue. 

En outre, comme il le sera montre ci-apres de fagon plus detaillee, il 
est possible d^ssocier le procede de I'invention a des dispositions de 
verification, d'authentification et/ou de chiffrage, connues en soi, mais dont 
le degre de securite obtenu est renforce grace aux dispositions propres a 
invention. 
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Uinvention a done pour objet principal un precede d'enregistrement 
securise d'une donnee dite sensible dans une memoire d'un systeme 
embarque a puce Electron ique comprenant aux moins deux moyens de 
memoire physiquement distincts, caracteris6 en ce que ladite donnee 
5 sensible est scindee en au moins deux parties, selon une configuration 
logique determinee, et en ce que chacune desdites parties scind6es est 
enregistr6e dans un desdits moyens de memoire physiquement distincts. 

L'invention a encore pour objet un systeme embarque a puce 
electronique pour la mise en ceuvre de ce procede. 
10 L'invention va maintenant etre decrite de fa<?on plus detaillee en se 

referant aux dessins annexes, parmi lesquels : 

la figure 1 illustre schematiquement un exemple de 
configuration de la memoire d'une carte a puce selon un aspect de 
l'invention, pour une application du procede a Tenregistrement d'une 
f 5 cle secrete ; et 

la figure 2 illustre schematiquement une variante de realisation 
de la configuration de la memoire d'une carte a puce de la figure 1 . 
Comme il a ete indique dans le preambule de la presente 
description, on se placera ci-apres dans le cadre de ('application preferee de 
20 Tinvention, e'est-a-dire dans le cas de la securisation de la phase de pre- 
initialisation d'une carte a puce. 

De fagon plus precise, on va illustrer le procede selon Tinvention 
dans son application au stockage d'une cle secrete asymetrique que Ton 
referencera ci-apres d. Cette cle d peut permettre a une carte a puce de 
25 generer un cryptogramme a partir d'un algorithme asymetrique approprie. Ce 
cryptogramme, s J il est retourne a un terminal d'authentification de la carte £ 
puce, peut servir a Tauthentification de celle-ci. 

La figure 1 illustre, de fagon schematique, un exemple 
^architecture de carte a puce CP. Cette derniere comprend une memoire M t 
30 elle-meme constituee dans Texemple decrit, d'une memoire vive a acces 
aleatoire de type dit "RAM" (pour "Random Access Memory") 3 et d'une 
memoire non volatile comprenant une partie fixe 1, de type "ROM", et une 
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partie semi-fixe 2, de type "EEPROM" ou similaire. La carte a puce CP 
comprend en outre des moyens de traitement de donnees, par exemple un 
microprocesseur reference CPU, cooperant avec un systeme Sexploitation 
4. Le systeme Sexploitation est une piece de logiciel constitute d'une suite 
cte microinstnjctions qui peuvent etre stockees en tout ou partie dans la 
zone "ROM" 1 et/ou la zone "EEPROM" 2 de la memoire M. 

Selon une des caracteristiques de I'invention, le stockage de la cle 
d est effectu6 dans, au moins, deux parties physiquement distinctes de la 
memoire M. De fagon plus precise, dans I'exemple illustre, le stockage de 
cette cle d est effectue dans une partie non volatile de la memoire M : une 
partie en memoire fixe 1 , de type "ROM", et une partie en memoire semi-fixe 
2, de type "EEPROM" ou simiteire. 

La cle secrete d se compose done d'une partie en "ROM" 1, 
presente avant I'arrivee chez I'entite que Ton a appele "fondeur", et d'une 
partie ecrite lors d'une operation dite "sous pointe" par ce dernier, en 
"EEPROM" 2. Les octets programmes en "EEPROM" 2 sont des donnees 
extremement sensibles, traitees comme des octets de securite. Ceci 
implique bien sur que la cle secrete d soit deja connue a I'heure du 
masquage. 

A titre d'exemple, pour fixer les idees, on va considerer ci-apres une 
cle secrete d de 1024 bits (soit 128 octets). 

Dans un mode de realisation prefere du procede de Tinvention, la 
cle d reside totalement en "ROM" 1, mais certains octets sont faux ou 
alteres. A titre d'exemple, un octet par bloc de seize octets est faux, une 
valeur erronee ayant ete volontairement ecrite dans le code "ROM". 

On a represents sur la figure 1 les differents blocs de la cle d sous 
les references B t a B B . Les octets errones sont references d a 0 8 . Les 
valeurs correctes des octets references, O', a 0' e , sont stockees en 
"EEPROM" 2, sous la forme egalement de huit octets correspondents. Ces 
octets, OS a O a, forment une cle partielle d\ 

Dans cet exemple, huit octets (soit 128/16 = 8) doivent done etre 
programmes en "EEPROM" 2. Mais on doit bien comprendre que le 
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stockage en "EEPROM" 2 peut etre quelconque, le systeme Sexploitation 4, 
cooperant avec les moyens de traitement de donnees CPU se chargeant de 
la reconstitution en "RAM" 3 de la cle complete exacte, que Ton peut appeler 
d\ lors de son utilisation. Cette reconstitution s'effectue, dans I'exemple 
decrit, simplement par substitution des octets corrects, O', a 0* 8 , aux octets 
erron6s, Oi a Oa. 

On constate done que la connaissance d'une des cles, soit d, soit 
d, par quel que moyen que ce soit, notamment par les operations 
frauduleuses de "dumping" precitees, ne permet pas d'en deduire le "secret 
total", e'est-a-dire la cle correcte complete d*. 

Comme il a ete rappele, les cles. pour obtenir une bonne securite 
sont generalement longues, par exemple 128 octets ou 1024 bits comme 
indique ci-dessus. Le procede selon I'invention, outre le degre de securite 
qu'il apporte, permet de ne devoir enregistrer en "EEROM" 2 qu'une fraction 
tres reduite de la cle totale d. soit 8 octets ou 64 bits. Seule cette fraction de 
cle doit etre ecrite sous "pointe" par le fondeur. ce qui presente un avantage 
important, car cette operation est longue et couteuse. 

On doit bien comprendre que de nombreuses autres configurations 
de repartition de la cle entre les deux types de memoire, "ROM" 1 et 
"EEPROM" 2, sont possibles. Les deux series d'octets doivent seulement 
etre en correspondance biunivoque. Cependant, I'homme de metier doit 
veiller a ce que cette repartition ne permette pas que la connaissance d'une 
des deux cles partielles : d (ayant la meme longueur que la cle totale 
correcte d\ mais en partie "alteree") ou d, autorise, par des methodes 
mathematiques ou autres, la deduction de la cle totale, a partir de cette 
connaissance partielle. La repartition qui vient d'etre decrite en regard de la 
figure 1. pour les longueurs de cles considerees, satisfait cette exigence. 

Dans une variante de realisation supplementaire du procede de 
I'invention. en vue d'augmenter encore le degre de securite obtenu. on 
prevoit le stockage en "ROM" 1 d'une donnee d'information permettant de 
garantir Tintegrite de la cle secrete d et, done, de preserver dans le temps 
I'integrite des memoires "ROM" 1 et "EEPROM" 2. Cette donnee peut 
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prendre la forme d'un calcul de somme de controle sur la cle secrete, connu 
sous I'appellation anglo-saxonne de "checksum". Cette donnee peut encore 
etre obtenue a I'aide d'une fonction de hachage ou "hash" de cette meme 
cle. Pour ce faire, dans ce dernier cas, il est utilise avantageusement un 
5 algorithme du type connu sous le sigle "SHA-I" Cet algorithme particulier 
doit done etre implante dans la carte a puce. Le resultat de cette fonction de 
hachage a une longueur de 160 bits. L'operation initiale permettant d'obtenir 
ladite donn6e est concomitante a I'enregistrement de la cle d dans la "ROM" 
1. 

10 Le "checksum" ou le "hash" est effectue a chaque utilisation de la 

cle secrete et compare a la donnee d'information enregistree dans la 
memoire "ROM" 1. 

La figure 2 illustre schematiquement I'architecture d'une carte a 
puce CP stockant une telle donnee de "hash" en memoire "ROM" 1 . Les 

15 elements communs a la figure 1 portent les memes references et ne seront 
re-decrits qu'en tant que de besoin. 

La donnee H est stockee en "ROM" 1 et verifiee a chaque utilisation 
de la cle afin de preserver I'integrite des zones memoire "ROM" 1 et 
"EEPROM" 2. Cette verification s'effectue sous la commande des moyens de 

20 traitement de donnees CPU et de programmes enregistres dans la memoire. 

Jusqu*a ce stade de la description, il a ete suppose, au moins 
implicitement, que les donnees secretes reparties entre les deux parties 
physiquement distinctes de la memoire M constituaient un meme et unique 
secret. 

25 Dans une variante supplemental du procede selon I'invention, les 

donn6es secretes stockees en memoire "ROM" 1 peuvent constituer un 
premier secret. Des deuxiemes donnees secretes, derivees des premieres 
donnees secretes, peuvent constituer un deuxieme secret. Ces donnees, 
selon une des caracteristiques de I'invention, sont alors stockees dans une 

30 deuxieme partie physiquement distincte de la memoire M, par exemple en 
"EEPROM" 2. Ces donnees peuvent avantageusement etre obtenues par 
chiffrage des premieres donnees, par utilisation de tout algorithme 
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approprie, de type symetrique ou non. On peut considerer que le secret est 
bien "partage" ou "scinde", au sens du procede selon I'invention, qu'il ne 
peut etre deduit de la connaissance d'une seule partie de la memoire M. 

A la lecture de ce qui precede, on constate aisement que I'invention 
5 atteint bien les buts qu'elle s'est fixes. 

Elle permet un grand degre de securite pour le stockage de 
donnees sensibles, telles des cles ou similaire, en les repartissant 
physiquement dans au moins deux parties physiquement distinctes de la 
memoire d'une carte a puce, et de fa?on plus generate d'un systeme 
10 embarque a puce electronique. 

II doit etre clair cependant que I'invention n'est pas limitee aux seuls 
exemples de realisations explicitement decrits, notamment en relation avec 
les figures 1 et 2. 

On peut notamment repartir les donnees secretes dans plus de 
15 deux parties de memoire physiquement distinctes. De meme, lorsque les 
donnees rSparties ne represented pas un meme et unique secret, le nombre 
de secrets derives du premier peut etre superieur a I'unite. On peut 
egalement deriver des secrets en cascade et les enregistrer separement 
dans des parties de memoires physiquement distinctes. 
20 Uinvention n'est pas non plus limitee a ('application 

d'authentification de la phase de pre-initilisation d'une carte a puce qui a 6te 
evoquee de fa<?on plus detaillee. Elle s'applique toutes les fois qu'une 
donnee sensible, cle de chiffrage ou autre, doit etre stockee dans la 
memoire d'un systeme embarque. 



25 
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REVINDICATIONS 

1. Procede d'enregistrement securis6 d'une donnee dite sensible dans 
une m6moire d'un systeme embarque a puce electronique comprenant 
aux moins deux moyens de memoire physiquement distincts, caracterise 
en ce que ladite donnee sensible est scindee en au moins deux parties (d, 
d'), selon une configuration logique determin6e, et en ce que chacune 
desdites parties scindees (d, d 1 ) est enregistree dans un desdits moyens 
de m6moire physiquement distincts (1 , 2). 

2. Procede selon la revendication 1 , caracterise en ce que, ladite donnee 
sensible etant scindee en au moins deux parties (d, d'), elle constitue un 
secret unique et en ce que chacune desdites parties scindees est 
enregistree dans un desdits moyens de memoire physiquement 
distincts (1,2). 

3. Procede selon la revendication 1 , caracterise en ce que ladite donnee 
sensible §tant scindee en au moins deux parties (d, d'), ladite premiere 
partie (d) constitue un premier secret et chacune desdites parties 
supplementaires (d') sont derivees de ladite premiere partie (d) pour 
constituer des secrets supplementaires, et en ce que chacune desdites 
parties scindees est enregistree dans un desdits moyens de memoire 
physiquement distincts (1 , 2). 

4. Procede selon la revendication 1 , caracterise en ce que ladite donnee 
sensible est un mot binaire de longueur 6gale & un nombre d6termin§ 
d'octets et est scindee de fagon a etre enregistr6 dans deux moyens de 
m6moire physiquement distincts (1, 2), en ce qu'une premiere partie est 
un premier mot binaire (d) constitu6 de blocs d'octets (B^Bq), de meme 
longueur que ladite donn6e sensible, en ce que cette premiere partie (d) 
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comporte une suite d'octets corrects et d'octets alteres (CVO a ), r6partis 
dans ledit mot (d) selon une configuration predetermin6e, en ce que ladite 
seconde partie est un second mot binaire (d'), de longueur egale au 
nombre desdits octets alteres (O t -0 8 ) et constitu6 d'octets (OVO' 8 ) en 
5 correspondance biunivoque avec lesdits octets alteres (CV0 8 ), de 
maniere a pouvoir corriger ces octets alt6r6s (CVOg) et a reconstituer 
ladite donnee sensible a partir desdites premiere (d) et seconde parties 
(d'). 

5. Precede selon la revendication 4, caracteris6 en ce que ladite donn6e 
10 sensible est une cl6 de chiffrage. 

6. Proced6 selon la revendication 1 , caracterise en ce que, ladite donnee 
sensible 6tant scindee en des premiere (d) et seconde parties (d'), 
enregistr6es respectivement dans des premier (1) et second (2) moyens 
de memoire physiquement distincts, il est proc6d6 a une opferation, 

15 concomitante a I'enregistrement de ladite premiere partie (d), dite de 
hachage de ladite donnee sensible dont le resultat se presente sous la 
forme d'une donnee d'information (H), en ce que ladite donnee 
d'information (H) est enregistree dans lesdits premiers moyens de 
memoire (1), et en ce qu'il comprend une lecture de ladite donnee 

20 d'information (H), une operation supplemental de hachage de ladite 
donnee sensible et une comparaison entre ladite donnee d'information lue 
et le resultat de ladite operation de hachage supplementaire lors de 
chaque utilisation de ladite donnee sensible, de maniere a en certifier 
I'integrit6. 

25 7. Procede selon la revendication 6, caracterise en ce que ladite operation 
de hachage est obtenue par Tapplication sur ladite donn§e sensible de 
Talgorithme de hachage dit "SHA-1 
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8. Systeme embarqu6 & puce electronique muni de moyens de m6moire 
pour Tenregistrement d'au moins une donnee dite sensible, lesdits 
moyens de m6moire comprenant au moins deux organes de memoire 
physiquement distincts, caracterise en ce que ladite donnee sensible 

5 etant scindee en au moins deux parties (d, d') de configurations 
determinees, chacun desdits organes de m6moire (1 , 2) enregistre Tune 
desdites parties de donn6e sensible (d, d'). 

9. Systeme selon la revendication 8, caracterise en ce que lesdits moyens 
de m6moire (M) comprennent un premier organe de memoire fixe a 

w lecture seule, de type dit "ROM" (1), et un deuxieme organe de m6moire 
re-programmable par effacement par voie electrique a lecture seule, de 
type dit "EEPROM" (2), et en ce que chacun desdits premier (1) et 
deuxieme (2) organes de memoire enregistre une desdites parties (d, d') 
scind6es de ladite donnee sensible. 

15 10. Systeme selon la revendication 8, caracterise en ce qu'il est constitue 
par une carte a puce (CP). 
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